Sebastian Juul
Et nyt phishing-kit lokker købere ind på falske mærkevaresider via Facebook og TikTok og stjæler både kortnummer og engangskode til godkendelse.
Phishing-kittet hedder Milk Dragon og er bygget til at ligne helt almindelige webshops med store rabatter på kendte brands. Sikkerhedsfirmaet Group-IB har kortlagt 258 svindelsider med ofre i 66 lande, og aktiviteten tager fart op mod Black Friday.
Kittet har været i drift siden oktober 2025 og sælges åbent gennem Telegram-grupper fra 300 USDT om måneden, svarende til cirka 2.100 kroner, inklusive drift og løbende opdateringer. Ifølge Group-IB spiller svindlerne på en anden følelse end den klassiske phishing: ikke frygten for at miste adgang til en konto, men frygten for at gå glip af et godt tilbud. Siderne distribueres via annoncer på Facebook og TikTok.
Sådan virker fælden
Det hele starter som en annonce eller et marketplace-opslag midt i feedet. Et velkendt mærke som LEGO eller Calvin Klein tilbydes med voldsom rabat, og profilen bag virker rimelig troværdig, selvom Group-IB flere steder har set AI-genereret indhold og tilsyneladende købte følgere.
Klikker du på linket, lander du på en WordPress-side med WooCommerce, der ligner en rigtig webshop. Men bag kulisserne kører en ondsindet udvidelse kaldet BytePress, der registrerer det du taster, bogstav for bogstav, længe før du trykker “køb”. Alle mærker i kittet er genkendelige: 21 mærker fordelt på kosmetik, mode, mad og drikke, baby- og hjem-produkter samt regionale supermarkeder.
Det der gør det farligere end almindelig phishing
De fleste danskere kender efterhånden klassisk phishing som falske PostNord- og DAO-sms’er. Milk Dragon går et skridt videre, fordi det omgår engangskoder.
Når du skal godkende betalingen med en sms-kode (3D Secure), viser svindelsiden en falsk godkendelsesside, der er bygget til at ligne din banks egen. Koden du taster, bliver i realtid sendt videre til svindleren via en åben WebSocket-forbindelse. Han kan nå at bruge koden til at godkende et køb eller en overtagelse af kontoen, inden koden udløber. Group-IB har fundet skabeloner til 36 forskellige banker i kittet.
En operatør kan samtidig følge med live på et kontrolpanel og “ændre siden, vise beskeder og godkende, afvise eller blokere indtastede betalingsdata”, mens offeret stadig står på kassen.
Fem tegn på det falske tilbud
- Prisen er for god til at være sand. Autentiske mærker sælger sjældent nyere varer med 70-80 procent rabat uden om deres egen webshop eller en kendt dansk forhandler.
- Annoncen eller profilen er ny, har få følgere, eller billederne ser lidt for glatte ud. Group-IB peger på AI-genererede billeder og købte følgere som fast ingrediens.
- Linket fører til en ukendt adresse, ofte med endelser som .shop.top eller .store, i stedet for brandets officielle domæne.
- Siden mangler kontaktoplysninger, CVR-nummer, returadresse eller har brudt dansk.
- Godkendelsessiden for betalingen ser bare lidt forkert ud. Ser logo, farver eller ordlyd anderledes ud end dem du plejer at se fra din bank, så luk vinduet.
Jagter du selv tilbud de kommende uger, kan du tjekke en webshops ægthed på to minutter, og en enkelt browser-indstilling fanger de fleste kendte phishing-fælder. Opdager du, at du er faldet i, så ring straks til banken og spær kortet. Når svindleren allerede sidder med din engangskode, tæller hvert minut.
